Spring Boot未将未认证用户访问首页时重定向至登录页问题

我正在开发一个集成了表单登录及OAuth2（GitHub和Google登录）的Web应用，问题出在Spring SecurityFilterChain的授权请求配置上，而非认证方法本身。

我的Spring Boot安全配置如下：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
            // 显式启用表单登录，并指定登录页面映射到"/login"
            .formLogin(form -> form.loginPage("/login").permitAll())
            .oauth2Login(form -> form.loginPage("/login").permitAll())
            .logout((logout) -> logout.logoutUrl("/logout").logoutSuccessUrl("/").permitAll())

            // 为URL映射指定所需的认证级别
            .authorizeHttpRequests(authorize -> authorize
                    .requestMatchers("/login/**").anonymous()
                    .requestMatchers("/register/**").anonymous()
                    .requestMatchers("/events/**").authenticated()
                    .requestMatchers("/").authenticated()
                    .anyRequest().permitAll());

    return http.build();
}

我明确要求未认证用户可访问应用的所有端点，但/events/**和首页（/，对应地址localhost:8080）除外。然而未登录时仍能访问首页（控制器会自动跳转到对应模板），但访问/events/**时会正确重定向到localhost:8080/login。即使使用/**作为请求匹配器也无法解决首页的问题。

请问需修改当前安全配置中的哪部分，才能让未认证用户访问首页/时重定向到/login页面？

1. 覆盖首页的重定向路径匹配 #

Spring Boot默认会将访问/的请求重定向到静态资源目录下的/index.html（如果存在该文件）。你的配置仅对/设置了认证要求，但重定向后的/index.html会被anyRequest().permitAll()允许访问，导致未登录用户仍能看到首页内容。

修改授权规则，将/index.html也加入需要认证的路径列表：

.authorizeHttpRequests(authorize -> authorize
        .requestMatchers("/login/**", "/register/**").anonymous()
        .requestMatchers("/events/**", "/", "/index.html").authenticated()
        .anyRequest().permitAll());

2. 检查静态资源的忽略规则 #

如果你的项目中配置了WebSecurityCustomizer来忽略静态资源的安全校验（比如允许访问/static/**），会导致/index.html被绕过认证。需要调整该配置，确保/和/index.html不被忽略：

@Bean
public WebSecurityCustomizer webSecurityCustomizer() {
    return (web) -> web.ignoring()
            // 仅忽略无需认证的静态资源，排除首页相关路径
            .requestMatchers("/css/**", "/js/**", "/images/**");
}

3. 排查控制器注解冲突 #

如果你的首页对应的控制器方法上添加了@PermitAll、@AnonymousAllowed等注解，这些注解会覆盖SecurityFilterChain的全局规则。请检查并移除这类注解，确保全局授权规则生效。

内容的提问来源于stack exchange，提问作者Mario Mateaș